Dal 18 agosto 2025 il regolamento UE e-Evidence (Reg. UE 2023/1543) permette alle autorità giudiziarie degli Stati membri di ordinare direttamente a provider e piattaforme digitali — anche con sede in un altro Stato UE — la produzione o il blocco di dati elettronici rilevanti per processi penali. I termini sono drasticamente ridotti rispetto alla rogatoria tradizionale: 8 ore per i dati in caso di emergenza, 10 giorni nella procedura ordinaria. Per la difesa penale questo significa che prove digitali possono essere acquisite e conservate prima ancora che il difensore ne sia informato.
Punti chiave
- Punto 1 — Dal 18 agosto 2025 le autorità UE ordinano dati digitali ai provider senza passare per rogatorie tradizionali.
- Punto 2 — Il termine di risposta scende a 8 ore in emergenza e 10 giorni in via ordinaria per i provider destinatari.
- Punto 3 — Il difensore può non essere informato in tempo reale: la discovery degli ordini emessi è differita per esigenze investigative.
Dal 18 agosto 2025 uno studio penalistico deve fare i conti con un canale di acquisizione probatoria che scavalca le rogatorie e arriva direttamente ai fornitori di servizi digitali. Se assisti un imputato o un indagato in un procedimento con componente digitale — messaggi, email, log di accesso, dati di traffico — il materiale probatorio può essere già nelle mani dell’accusa prima che tu riesca a intervenire sul piano cautelare o a formulare eccezioni.
Il regolamento UE 2023/1543 (c.d. e-Evidence), applicabile dal 18 agosto 2025, istituisce due strumenti distinti: l’Ordine Europeo di Produzione (EPOC) e l’Ordine Europeo di Conservazione (EPOC-PR). Le autorità emittenti — in Italia, l’autorità giudiziaria competente — li trasmettono direttamente al destinatario stabilito nell’UE, senza necessità di coinvolgere l’autorità dello Stato in cui il provider ha sede. La fonte di riferimento è Agenda Digitale.
Il contesto normativo
Il regolamento UE 2023/1543 si applica in Italia direttamente, senza necessità di recepimento, ma il legislatore nazionale dovrà coordinarlo con le norme del codice di procedura penale in materia di prove digitali (artt. 254-bis e 247 comma 1-bis c.p.p.) e con le garanzie della direttiva 2023/1544, che disciplina il meccanismo di designazione del rappresentante legale del provider nell’UE. Sul piano dei diritti fondamentali, il regolamento richiama espressamente gli artt. 7, 8 e 48 della Carta dei diritti fondamentali UE — rispettivamente vita privata, protezione dei dati e presunzione di innocenza — e impone che ogni ordine superi un test di proporzionalità verificabile dall’autorità dello Stato di esecuzione.
In Italia, l’adeguamento procedurale si innesta su un quadro già segnato dalla sentenza Cass. Pen., Sez. VI, n. 14511/2022, che aveva ribadito l’onere di documentare la catena di custodia dei dati digitali acquisiti dall’estero per garantirne l’utilizzabilità dibattimentale. Questo principio resta intatto: l’EPOC non esonera l’accusa dall’obbligo di rispettare le forme di acquisizione utilizzabili in giudizio.
Cosa cambia per lo studio
- Tempi compressi per la difesa: l’EPOC ordinario impone al provider una risposta entro 10 giorni; in caso di emergenza il termine scende a 8 ore. La difesa viene informata solo in un momento successivo, spesso dopo che i dati sono già stati consegnati all’autorità richiedente.
- Interlocuzione diretta con i provider: se assisti un’azienda o un professionista che riceve un EPOC, devi sapere che il destinatario può opporre un’eccezione all’autorità di esecuzione entro 10 giorni solo per motivi specifici tassativi — tra cui l’immunità o il privilegio ai sensi del diritto dello Stato richiesto.
- Controllo sulla catena di custodia digitale: ogni acquisizione tramite EPOC va verificata sul piano della conformità formale dell’ordine. Un EPOC difettoso — emesso senza i requisiti dell’art. 5 del regolamento — può fondare un’eccezione di inutilizzabilità in sede dibattimentale.
- Aggiornamento dei mandati difensivi: nei procedimenti penali con profilo internazionale o con imputati che usano piattaforme estere, il mandato difensivo deve ora contemplare esplicitamente il monitoraggio degli eventuali ordini e-Evidence emessi a carico del cliente.
- Impatto sui procedimenti civili e amministrativi: il regolamento si applica solo alla materia penale. Per le prove digitali in giudizi civili o arbitrali restano in vigore le procedure ordinarie di esibizione e discovery.
Attenzione a
Confondere l’EPOC con la rogatoria: l’EPOC non è una rogatoria. Non passa per il Ministero della Giustizia e non richiede la doppia incriminabilità per i dati di abbonato e di accesso (la doppia incriminabilità è richiesta solo per alcune categorie di dati transazionali e di contenuto). Trattarlo come una rogatoria ordinaria significa perdere i termini per l’opposizione e rinunciare a eccezioni difensive esperibili.
Sottovalutare l’obbligo di designazione del rappresentante: le piattaforme prive di sede UE devono designare un rappresentante legale nell’Unione entro i termini fissati dalla direttiva 2023/1544. Se il tuo cliente è un provider o un intermediario digitale operativo in Italia, verifica subito se ha adempiuto a quest’obbligo: la mancata designazione espone a sanzioni e rende il soggetto direttamente raggiungibile dall’autorità italiana senza filtri procedurali.
Domande frequenti
Dal 18 agosto 2025 le autorità italiane possono richiedere dati a WhatsApp o Google senza rogatoria?
Sì. Con il regolamento UE 2023/1543 l’autorità giudiziaria italiana emette un EPOC direttamente al provider stabilito nell’UE — o al suo rappresentante designato — senza passare per rogatoria internazionale. Il provider ha 10 giorni per rispondere in via ordinaria, 8 ore in caso di emergenza. La trasmissione avviene tramite un sistema informatico certificato dalla Commissione europea.
Come può opporsi un provider che riceve un ordine europeo di produzione dati?
Il destinatario di un EPOC può notificare un’eccezione entro 10 giorni solo per motivi tassativi: immunità o privilegi previsti dal diritto dello Stato di esecuzione, regole sulla protezione della libertà di stampa, impossibilità manifesta di adempiere. L’eccezione non sospende automaticamente l’ordine, ma attiva un procedimento di riesame davanti all’autorità dello Stato emittente.
I dati acquisiti con EPOC sono utilizzabili nel processo penale italiano?
L’utilizzabilità dipende dal rispetto delle forme prescritte dal codice di procedura penale italiano per le prove digitali (artt. 254-bis e 247 comma 1-bis c.p.p.) e dalla regolarità formale dell’ordine. Un EPOC privo dei requisiti dell’art. 5 del regolamento UE 2023/1543 può fondare un’eccezione di inutilizzabilità. La Cassazione ha già affermato che la catena di custodia dei dati digitali deve essere documentata anche per le acquisizioni dall’estero (Cass. Pen. n. 14511/2022).
Fonte di riferimento: AgendaDigitale